CACTUS Ransomware piktnaudžiauja pažeidžiamumu
Neseniai buvo aptikta CACTUS ransomware kampanija, kuri išnaudoja naujai atskleistas Qlik Sense, debesų analizės ir verslo žvalgybos platformos, spragas. Tyrėjai iš „Arctic Wolf“, įskaitant Stefaną Hostetlerį, Markusą Neisą ir Kyle'ą Pagelową, nustatė, kad tai yra pirmasis dokumentais patvirtintas atvejis, kai CACTUS išpirkos programinę įrangą naudojantys grėsmės veikėjai panaudojo Qlik Sense pažeidžiamumą, kad gautų pirminę prieigą.
Pažeidžiamumas, kurį išnaudojo CACTUS
Kibernetinio saugumo įmonė, reaguodama į kelis išnaudojimo atvejus, pabrėžė tris pažeidžiamumus, atskleistus per pastaruosius tris mėnesius:
CVE-2023-41265 (CVSS balas: 9,9) – HTTP užklausų tuneliavimo pažeidžiamumas, leidžiantis nuotoliniam užpuolikui padidinti privilegijas ir vykdyti užklausas vidiniame serveryje, kuriame yra saugyklos programa.
CVE-2023-41266 (CVSS balas: 6,5) – kelio perėjimo pažeidžiamumas, leidžiantis neautentifikuotam nuotoliniam užpuolikui siųsti neteisėtas HTTP užklausas į konkrečius galutinius taškus.
CVE-2023-48365 (CVSS balas: 9,9) – neautentifikuoto nuotolinio kodo vykdymo pažeidžiamumas, atsirandantis dėl netinkamo HTTP antraščių patvirtinimo, leidžiantis užpuolikams padidinti privilegijas per tuneliavimo HTTP užklausas.
Pažymėtina, kad CVE-2023-48365 atsirado dėl neužbaigtos CVE-2023-41265 pataisos, kurias Praetorianas atskleidė 2023 m. rugpjūčio pabaigoje. CVE-2023-48365 pataisa buvo išleista 2023 m. rugsėjo 20 d.
„Arctic Wolf“ pastebėjimai rodo, kad sėkmingas šių trūkumų išnaudojimas lemia manipuliavimą „Qlik Sense Scheduler“ paslauga. Tai naudojama norint sukurti procesus, per kuriuos atsisiunčiami papildomi įrankiai, siekiant užtikrinti patvarumą ir įgalinti nuotolinį valdymą.
Šie įrankiai apima „ManageEngine Unified Endpoint Management and Security“ (UEMS), „AnyDesk“ ir „Plink“. Taip pat buvo pastebėta, kad grėsmės veikėjai pašalina „Sophos“ programinę įrangą, pakeičia administratoriaus paskyros slaptažodį ir sukūrė KPP tunelį per „Plink“.
Atakų seka baigiasi CACTUS išpirkos reikalaujančios programinės įrangos diegimu, o užpuolikai naudoja rclone duomenų išfiltravimui.
